موږ په بادل کې د امنیت په اړه خبرې کوو

د افشا کیدو څخه ډیر

راځئ چې دا په دې ډول واچوو، تاسو د افشا کولو په اړه څه اندیښنه لرئ؟ ستاسو ترټولو ارزښتناکه شتمنۍ څه دي؟ ستاسو د ټولنیز امنیت شمیره؟ ستاسو د بانکي حساب معلومات؟ شخصي اسناد، یا عکسونه؟ ستاسو د کریپټو تخم جمله؟ که تاسو یو شرکت اداره کوئ، یا د معلوماتو د خوندي کولو مسولیت لرئ، تاسو ممکن د ورته ډول معلوماتو په اړه اندیښنه ولرئ، مګر په پای کېroader پیمانه. تاسو ته ستاسو د پیرودونکو لخوا د دوی د معلوماتو محافظت سپارل شوی.

د مرصفوونکو په توګه، موږ د خپلو معلوماتو امنیت په پام کې نیسو. په دې ورځو کې ډیری وختونه دا معلومات په بادل کې زیرمه شوي. یو شمیر پلورونکي خدمتونه وړاندې کوي کوم چې پیرودونکو ته اجازه ورکوي چې د خپلو محلي کمپیوټرونو څخه بادل ته ډاټا بیک اپ کړي. په اسمان کې د مجازی هارډ ډرایو په توګه فکر وکړئ. دا ستاسو د معلوماتو خوندي کولو لپاره د خوندي او اسانه لارې په توګه اعلان شوی. مناسب، هو. تاسو کولی شئ هغه فایل بیرته ترلاسه کړئ چې تاسو په ناڅاپي ډول حذف کړی وي. تاسو کولی شئ ټول هارډ ډرایو بیرته راوباسئ چې ډاټا یې فاسد شوې وه.

مګر ایا دا خوندي دی؟ تاسو ته یو قفل او کیلي درکول کیږي. کلیدی دی، په عموم ډول، یو کارن-نوم او پټنوم. دا کوډ شوی او یوازې تاسو ته پیژندل شوی. له همدې امله امنیتي ماهرین ستاسو د پټنوم خوندي ساتلو وړاندیز کوي. که څوک ستاسو پټنوم ته لاسرسی ومومي، دوی ستاسو مجازی کور ته مجازی کیلي لري.

تاسو دا ټول پوهیږئ. د بیک اپ کلاوډ خدمت ته ستاسو پټنوم 16 حروف اوږد دی، لوی او کوچني توري، شمیرې او یو څو ځانګړي توري لري. تاسو دا په هرو شپږو میاشتو کې بدل کړئ ځکه چې تاسو پوهیږئ چې دا د هیکر لپاره ستونزمن کوي. دا ستاسو د نورو پاسورډونو څخه توپیر لري - تاسو د ډیری سایټونو لپاره ورته پاسورډ نه کاروئ. څه شی غلط کیدی شي؟

ځینې ​​شرکتونه هغه څه وړاندیز کوي چې دوی د "شخصي کلاوډ" په توګه نښه کړي. لویدیځ Digital یو له هغو شرکتونو څخه دی چې په بادل کې ستاسو شخصي ځای ته ستاسو د معلوماتو بیک اپ کولو لپاره اسانه لار چمتو کوي. دا د شبکې ذخیره ده چې په انټرنیټ کې شتون لري. دا ستاسو د وائی فای روټر سره نښلوي نو تاسو کولی شئ دا ستاسو د شبکې دننه له هر ځای څخه لاسرسی ومومئ. په اسانۍ سره، ځکه چې دا د انټرنیټ سره هم تړلی دی، تاسو کولی شئ خپل شخصي معلوماتو ته د انټرنیټ له هر ځای څخه لاسرسی ومومئ. د اسانتیا سره خطر راځي.

یو جوړجاړی دریځ

د دې کال په پیل کې، هیکرانو لویدیځ ته ننوتل Digitalسیسټمونه او د دې توان درلود چې نږدې 10 Tb ډیټا ډاونلوډ کړي. تور میلرانو بیا د تاوان لپاره ډیټا ونیوله او هڅه یې وکړه چې د ډیټا خوندي بیرته راستنیدو لپاره د 10,000,000 امریکایي ډالرو په شمال کې معامله وکړي. معلومات د تیلو په څیر دي. یا شاید سره زر یو غوره مشابهت وي. یو هیکر د نوم د نه ښودلو په شرط خبرې وکړې. ها! TechCrunch د هغه سره مرکه وکړه کله چې هغه د دې سوداګریزې معاملې په بهیر کې و. هغه څه چې په زړه پورې دي دا دي چې هغه معلومات چې موافقت شوي و لویدیځ پکې شامل وو Digitalد کوډ لاسلیک کولو سند. دا د ریٹنا سکین تخنیکي معادل دی. سند د دې لپاره دی چې په مثبت ډول د مالک یا بار وړونکي وپیژني. د دې مجازی ریٹنا سکین سره، "خوندي" ډیټا ته د لاسرسي لپاره هیڅ پټنوم ته اړتیا نشته. په بل عبارت، د دې سند سره دا تور خولۍ سوداګر کولی شي د دروازې مخې ته ولاړ شي digital ماڼۍ

غربي Digital د هیکر د ادعاوو په ځواب کې د تبصرې کولو څخه ډډه وکړه چې دوی لاهم د WD په شبکه کې دي. بې نومه هیکر مایوسي څرګنده کړه چې په لویدیځ کې نمایندګي کوي Digital خپل زنګونه به بیرته نه راګرځوي. په رسمي توګه، په a مطبوعاتي اعالمیه، لویدیځ Digital اعلان وکړ چې، "تر اوسه د تحقیقاتو پراساس، شرکت باور لري چې غیر مجاز ګوند د دې سیسټمونو څخه ځینې معلومات ترلاسه کړي او د دې معلوماتو د ماهیت او اندازې د پوهیدو لپاره کار کوي." نو، لویدیځ Digital مور ده، خو هیکر ملامتوي. د دې لپاره چې دوی دا څنګه وکړل، هیکر تشریح کوي چې دوی څنګه پیژندل شوي زیانمنونکي ګټه پورته کړه او د نړیوال مدیر په توګه په کلاوډ کې ډیټا ته د لاسرسي وړ و.

یو نړیوال مدیر، د رول له مخې، هر څه ته لاسرسی لري. هغه ستاسو پاسورډ ته اړتیا نلري. هغه ماسټر کیلي لري.

غربي Digital یوازې نه دی

A سروې تیر کال وموندله چې د سروې شویو شرکتونو 83٪ درلودې له یو څخه ډیر د معلوماتو سرغړونې، 45٪ چې د بادل پر بنسټ وې. د په اوسط ډول په متحده ایالاتو کې د معلوماتو سرغړونې لګښت 9.44 ملیون ډالر و. لګښتونه په څلورو لګښتونو کټګوریو ویشل شوي - له لاسه ورکړې سوداګرۍ، کشف او زیاتوالی، خبرتیا او د سرغړونې وروسته غبرګون. (زه ډاډه نه یم چې د ډیټا تاوان په کوم کټګورۍ کې دی. دا روښانه نده چې کوم ځواب ویونکي د تاوان غوښتنې تادیه کړې.) اوسط وخت چې یو سازمان د ډیټا سرغړونې پیژندلو او ځواب ویلو ته اړتیا لري شاوخوا 9 میاشتې دي. دا د حیرانتیا خبره نه ده، بیا، څو میاشتې وروسته لویدیځ Digital لومړی د معلوماتو سرغړونې ومنلې، دوی لاهم تحقیق کوي.

دا ستونزمنه ده چې په سمه توګه ووایاست چې څومره شرکتونه د معلوماتو سرغړونې لري. زه یو لوی خصوصي شرکت پیژنم چې د ransomware لخوا برید شوی و. مالکینو د خبرو اترو څخه انکار وکړ او پیسې یې نه ورکولې. د دې معنی دا وه ، پرځای یې ، ورک شوي بریښنالیکونه او ډیټا فایلونه. دوی د غیر منحل شوي بیک اپ څخه هرڅه بیا رغول او سافټویر بیا نصب کول غوره کړل. د پام وړ کم وخت شتون درلود او تولید یې له لاسه ورکړ. دا پیښه هیڅکله په رسنیو کې نه وه. دا شرکت ځکه خوشحاله و ۸۵٪ د کوچني او متوسط ​​​​کچې شرکتونو څخه چې د ransomware لخوا برید کیږي د 6 میاشتو دننه له سوداګرۍ څخه بهر کیږي.

• 30,000 ویب پاڼې دي د هکرانو هره ورځ
• 4 ملیون فایلونه دي غلا شوی هره ورځ
• 22 ملیارد ریکارډونه وو مات شوی په 2021

که تاسو کله هم د Capital One، Marriott، Equifax، Target یا Uber خدماتو سره سوداګري کړې وي، یا یې کارولې وي، دا ممکنه ده چې ستاسو پټنوم سره جوړجاړی شوی وي. د دې لوی شرکتونو هر یو د پام وړ معلوماتو سرغړونې سره مخ شوي.

• سرمایه ون: یو هیکر د شرکت کلاوډ زیربنا کې د زیان په کارولو سره 100 ملیون پیرودونکو او غوښتونکو ته لاسرسی ترلاسه کړ.
• ماریټ: د معلوماتو سرغړونې د 500 ملیون پیرودونکو په اړه معلومات افشا کړل (دا سرغړونې د 4 کلونو لپاره کشف شوې ندي).
• Equifax: په بادل کې د 147 ملیون پیرودونکو شخصي معلومات افشا شوي.
• هدف: سایبر جنایتکارانو د 40 ملیون کریډیټ کارت شمیرو ته لاسرسی درلود.
• اوبر: هیکرانو د یو پرمخ وړونکي لپ ټاپ تړون وکړ او 57 ملیون کاروونکو او 600,000 چلوونکو ته یې لاسرسی وموند.
• LastPass^[1]: هیکرانو د دې پټنوم مدیر شرکت لپاره د کلاوډ ذخیره کولو سرغړونې کې د 33 ملیون پیرودونکو والټ ډیټا غلا کړې. برید کونکي د دې پراختیا کونکي چاپیریال څخه غلا شوي "د کلاوډ ذخیره کولو لاسرسي کیلي او دوه ځله ذخیره کولو کانټینر ډیکرپشن کیلي" په کارولو سره د لاسټ پاس کلاوډ ذخیره ته لاسرسی ترلاسه کړ.

تاسو کولی شئ وګورئ چې وګورئ ایا تاسو پدې ویب پا onه کې د معلوماتو سرغړونې کې افشا شوي یاست: ایا زه پوټ شوی یم؟ خپل بریښنالیک آدرس ټایپ کړئ او دا به تاسو ته وښیې چې د بریښنالیک آدرس کې څومره ډیټا سرغړونې موندل شوي. د مثال په توګه ، ما خپل یو شخصي بریښنالیک آدرس کې ټایپ کړ او وموندله چې دا د 25 مختلف ډیټا سرغړونو برخه وه ، پشمول د Evite ، Dropbox، Adobe، LinkedIn او Twitter.

د ناغوښتل شوي مدافعینو مخه نیسي

د لویدیځ لخوا هیڅکله عامه اعتراف نه کیدی شي Digital په حقیقت کې څه پیښ شوي. پیښه دوه شیان روښانه کوي: په بادل کې ډاټا یوازې د هغې ساتونکو په څیر خوندي ده او د کیلي ساتونکي باید په ځانګړي توګه محتاط وي. د پیټر پارکر اصول تشریح کول، د ریښو لاسرسي سره لوی مسؤلیت راځي.

د ډیر دقیق کیدو لپاره ، د روټ کارونکي او نړیوال مدیر په بشپړ ډول ورته ندي. دواړه ډیر ځواک لري مګر باید جلا جلا حسابونه وي. د روټ کارونکي په ټیټه کچه د کارپوریټ کلاوډ حساب مالکیت لري او لاسرسی لري. د ورته په څیر، دا حساب کولی شي ټول معلومات، VMs، د پیرودونکي معلومات حذف کړي - هرڅه چې سوداګرۍ په بادل کې خوندي کړي. په AWS کې، یوازې شتون لري 10 دندې، په شمول ستاسو د AWS حساب تنظیم کول او بندول ، کوم چې واقعیا روټ لاسرسي ته اړتیا لري.

د اداري دندو ترسره کولو لپاره د مدیر حسابونه باید رامینځته شي (duh). معمولا ډیری مدیر حسابونه شتون لري چې معمولا د شخص پر بنسټ وي، د واحد روټ حساب برعکس. ځکه چې د مدیر حسابونه په یو فرد پورې تړلي دي، تاسو کولی شئ په اسانۍ سره وڅیړئ چې چا په چاپیریال کې کوم بدلون راوستی.

د اعظمي امنیت لپاره لږ امتیاز

د معلوماتو سرغړونې سروې د معلوماتو سرغړونې په شدت باندې د 28 فکتورونو اغیزې مطالعه کړې. د AI امنیت کارول، د DevSecOps طریقه، د کارمندانو روزنه، د پیژندنې او لاسرسي مدیریت، MFA، امنیتي تحلیلونه ټول په یوه پیښه کې د ضایع شوي اوسط ډالر مقدار کمولو کې مثبت اغیزه درلوده. پداسې حال کې چې د موافقت ناکامي، د امنیتي سیسټم پیچلتیا، د امنیتي مهارتونو کمښت، او د بادل مهاجرت هغه عوامل وو چې د معلوماتو سرغړونې اوسط لګښت کې د لوړ خالص زیاتوالي سره مرسته کړې.

لکه څنګه چې تاسو بادل ته مهاجرت کوئ، تاسو اړتیا لرئ چې د خپل ډاټا په ساتنه کې د هر وخت څخه ډیر محتاط اوسئ. دلته ځینې اضافي لارې شتون لري چې ستاسو خطر کم کړي او خوندي چاپیریال پرمخ بوځي د امنيت دريځ:

1. د مولی فکتور تصدیق: د روټ او ټولو مدیر حسابونو لپاره MFA تطبیق کړئ. حتی غوره، د فزیکي هارډویر MFA وسیله وکاروئ. یو احتمالي هیکر به نه یوازې د حساب نوم او پټنوم ته اړتیا ولري ، بلکه فزیکي MFA ته هم اړتیا لري کوم چې یو همغږي کوډ رامینځته کوي.

2. په لږ شمیر کې ځواک: محدود کړئ څوک چې ریښې ته لاسرسی لري. ځینې ​​​​امنیتي ماهرین وړاندیز کوي چې له 3 څخه ډیر کاروونکي نه وي. د روټ کارونکي لاسرسي په کلکه اداره کړئ. که تاسو د هویت مدیریت او آف بورډینګ بل چیرې اجرا کوئ، دلته یې وکړئ. که د باور په دایره کې یو څوک تنظیم پریږدي ، د روټ پاسورډ بدل کړئ. د MFA وسیله بیرته ترلاسه کړئ.

3. د اصلي حساب امتیازات: کله چې د نوي کارن حسابونو یا رولونو چمتو کول، ډاډ ترلاسه کړئ چې دوی ته د ډیفالټ لخوا لږترلږه امتیازات ورکړل شوي. د لږترلږه لاسرسي پالیسۍ سره پیل کړئ او بیا د اړتیا سره سم اضافي اجازې ورکړئ. د کار سرته رسولو لپاره د لږترلږه امنیت چمتو کولو اصول یو ماډل دی چې د SOC2 امنیت اطاعت معیارونه به تیر کړي. مفهوم دا دی چې هر کارونکي یا غوښتنلیک باید د اړین فعالیت ترسره کولو لپاره لږترلږه امنیت ولري. هرڅومره لوړ امتیازات چې جوړجاړی کیږي ، خطر خورا لوی دی. برعکس، هرڅومره چې امتیازات ټیټ وي، خطر هم کم وي.

4. د پلټنې امتیازات: ستاسو د بادل چاپیریال کې کاروونکو، رولونو او حسابونو ته ټاکل شوي امتیازات په منظمه توګه وڅیړئ او بیاکتنه وکړئ. دا ډاډ ورکوي چې افراد یوازې د دوی ټاکل شوي دندې ترسره کولو لپاره اړین اجازې لري.

5. د پیژندنې مدیریت او په وخت کې یوازې امتیازات: د غیر مجاز لاسرسي خطر کمولو لپاره هر ډول اضافي یا نه کارول شوي امتیازات وپیژنئ او لغوه کړئ. یوازې کاروونکو ته د لاسرسي حقونه چمتو کوي کله چې دوی ورته د ځانګړي کار یا محدود مودې لپاره اړتیا لري. دا د برید سطحه کموي او د احتمالي امنیتي ګواښونو لپاره د فرصت کړکۍ کموي.

6. سرایت شوي اسناد: په سکریپټونو، دندو، یا نورو کوډونو کې د غیر کوډ شوي تصدیق (کارن نوم، پټنوم، د لاسرسي کیلي) د هارډ کوډ کولو منع کول. پرځای یې وګورئ د رازونو مدیر چې تاسو کولی شئ په برنامه توګه د اعتبار ترلاسه کولو لپاره وکاروئ.

7. د کوډ په توګه زیربنا (IaC) ترتیب: د IaC وسیلو لکه AWS CloudFormation یا Terraform په کارولو سره د خپل کلاوډ زیربنا تنظیم کولو پرمهال د امنیت غوره عملونو ته غاړه کیږدئ. د ډیفالټ لخوا د عامه لاسرسي ورکولو څخه ډډه وکړئ او سرچینو ته لاسرسی یوازې باوري شبکو ، کاروونکو یا IP پتې ته محدود کړئ. د لږو امتیازاتو د اصولو د پلي کولو لپاره د مناسبو اجازو او لاسرسي کنټرول میکانیزمونو څخه کار واخلئ.

8. د عملونو ننوتل: په خپل کلاوډ چاپیریال کې د عملونو او پیښو جامع لاګنګ او نظارت فعال کړئ. د هر ډول غیر معمولي یا احتمالي ناوړه فعالیتونو لپاره لاګونه ونیسئ او تحلیل کړئ. د قوي لاګ مدیریت او د امنیت معلوماتو او پیښو مدیریت (SIEM) حلونه پلي کړئ ترڅو امنیتي پیښې په چټکۍ سره کشف او ځواب ووایی.

9. د زیان مننې منظمې ارزونې: ستاسو د بادل چاپیریال کې د امنیت ضعف پیژندلو لپاره منظم زیانمنونکي ارزونه او د ننوتلو ازموینې ترسره کړئ. هر ډول پیژندل شوي زیانمننې ژر تر ژره پیچ او اصالح کړئ. د خپل کلاوډ چمتو کونکي لخوا خپاره شوي امنیتي تازه معلومات او پیچونه تعقیب کړئ او ډاډ ترلاسه کړئ چې دوی د پیژندل شوي ګواښونو پروړاندې د ساتنې لپاره سمدلاسه پلي کیږي.

10. ښوونه او روزنه: د امنیتي پوهاوي کلتور ته وده ورکول او کارمندانو ته د لږترلږه امتیاز د اصولو په اړه منظمې روزنې چمتو کول. دوی ته د ډیرو امتیازاتو سره تړلي احتمالي خطرونو او د بادل چاپیریال کې سرچینو ته د لاسرسي او اداره کولو پرمهال د تعقیب غوره عملونو په اړه زده کړه ورکړئ.

11. پیچونه او تازه معلومات: د ټولو سرور سافټویر په منظمه توګه تازه کولو سره زیانمننې کم کړئ. خپل کلاوډ زیربنا او اړونده غوښتنلیکونه تازه وساتئ ترڅو د پیژندل شوي زیانونو په وړاندې ساتنه وکړئ. د کلاوډ چمتو کونکي اکثرا د امنیت پیچونه او تازه معلومات خپروي ، نو د دوی وړاندیزونو سره اوسني پاتې کیدل خورا مهم دي.

د وجهي

دا د باور لپاره راځي - یوازې ستاسو په سازمان کې هغه کسانو ته باور چمتو کوي چې هغه دندې سرته ورسوي چې دوی یې د دندې ترسره کولو لپاره ورته اړتیا لري. امنیتي کارپوهان وړاندیز کوي د صفر باور. د صفر اعتماد امنیت ماډل په دریو کلیدي اصولو ولاړ دی:

• په ښکاره ډول تایید کړئ - د کارونکي پیژندنې او لاسرسي تصدیق کولو لپاره ټول موجود ډیټا ټکي وکاروئ.
• د لږ تر لږه امتیازاتو لاسرسی وکاروئ - یوازې په وخت او یوازې کافي امنیت.
• سرغړونې فرض کړئ - هرڅه کوډ کړئ ، فعال تحلیلونه وکاروئ او په ځای کې بیړني غبرګون ولرئ.

د بادل او بادل خدماتو مصرف کونکي په توګه ، دا هم د باور لاندې راځي. تاسو باید له ځانه وپوښتئ، "ایا زه په خپل پلورونکي باور لرم چې زما قیمتي معلومات په بادل کې ذخیره کړي؟" باور، پدې حالت کې، پدې مانا ده چې تاسو په هغه شرکت، یا د هغې په څیر یو، د امنیت اداره کولو لپاره تکیه کوئ لکه څنګه چې موږ پورته بیان کړي. په بدیل سره، که تاسو په منفي ځواب ووایاست، ایا تاسو چمتو یاست چې د خپل کور چاپیریال کې د ورته ډول امنیت مدیریت فعالیت ترسره کړئ. ایا تاسو په ځان باور لرئ؟

د یو شرکت په توګه چې په کلاوډ کې خدمتونه وړاندې کوي، پیرودونکي په تاسو باور لري ترڅو ستاسو د بادل زیربنا کې د دوی ډاټا خوندي کړي. دا یوه روانه پروسه ده. د راپورته کیدونکي ګواښونو په اړه خبر اوسئ ، خپل امنیتي تدابیر د دې مطابق تنظیم کړئ ، او د تجربه لرونکو متخصصینو یا امنیتي مشاورینو سره همکاري وکړئ ترڅو ستاسو د سوداګرۍ لپاره خورا پرمختللي بادل منظره کې ډاډ ترلاسه کړئ.

1. https://www.bleepingcomputer.com/news/security/lastpass-hackers-stole-customer-vault-data-in-cloud-storage-breach/ ↑